Hallo!
Also folgendes. Haben eine Serverfarm mit der IP Range 80.73.256.xx,Mask ist 255.255.255.192, das Gateway hat 80.73.256.65.
Nun wollen wir davor, zwischen Gateway und Serverfarm eine Firewall aufstellen. Diese läuft auch schon mit FreeBSD 6.0 und OpenBSD pf.
(IP absichtlich falsch)
Soweit der Zustand, jetzt die Frage(n):
1)Was muss ich an der Firewall mit den 2 Netzwerkkarten eintragen?
Das Gateway (65) als Gateway,…
Was noch? Müssen Routen fix eingetragen werden und wenn ja welche?
Für eine Firewall eher ungewöhnlich ist eben, dass beide Netzwerkkarten in der selben IP Range hängen.
Muss ich bei FreeBSD den Rechner als Gateway einstellen, oder als Router?
2) Was muss ich auf den Clients eintragen? Wird dann die Firewall zum Gateway oder bleibt .65 das gateway?
3) was muss ich am 65 Gateway eintragen? Irgendwelche Routen?
(Es handelt sich dabei um einen Cisco Switch der als einziges der Komponenten nicht von mir verwaltet wird, also sind da Änderungen nur sehr beschränkt möglich…)
Geht also eher um das theoretische Element.
Hoffe auf Antworten
mfg Alexander H.
Hallo,
Für eine Firewall eher ungewöhnlich ist eben, dass beide
Netzwerkkarten in der selben IP Range hängen.
so ungewöhnlich ist das nicht, aber Du musst dabei bedenken, dass Du in diesem Fall Bridging machen musst, sonst geht das allein schon netzwerkmäßig nicht. Dadurch, dass Du keine Gewalt über das Gateway hast, geht’s nicht anders (mit Transfernetz o.ä.).
Zu Bridging unter FreeBSD siehe hier: http://www.freebsd.org/doc/en_US.ISO8859-1/books/han…
pf dann da mit reinzubringen dürfte das geringere Problem sein - Du hast ja nach wie vor zwei Interfaces, für deren Traffic Du Regeln aufstellen kannst.
Für die Clients ändert sich erstmal nix, das Gateway bleibt auch Gateway, aus Sicht des Gateways ändert sich auch nix.
Achte darauf - wie im Handbook angemerkt - dass Du den beiden „heißen“ NICs keine IPs gibst, oder höchstens einer von ihnen. Noch besser wäre wie immer eine dritte NIC die in einem sparaten Management-Netz sitzt („out-of-band-management“).
In Kurzform: Du bewegst Dich dann nicht mehr auf IP-Ebene, sondern auf Ethernet-Ebene. Der Firewall-Rechner funktioniert also nicht wie ein Router, sondern eher wie ein Switch, samt Firewallingfunktionalität.
Gruß,
Malte